On ne peut pas perdre ce que l’on ne conserve pas : réduire le périmètre PCI en ne stockant pas les données de carte

La norme PCI DSS s’applique à tout système qui stocke, traite ou transmet des données de titulaires de carte, ainsi qu’à tout système susceptible d’affecter leur sécurité. Plus ce périmètre est étendu, plus vous devez mettre en œuvre, documenter et financer de contrôles. Le moyen le plus simple de le réduire est aussi le plus ancien : ne pas conserver de données de carte dont vous n’avez pas besoin.

Personne ne peut voler ce que vous ne possédez pas. Vous devenez également une cible moins attrayante que l’organisation voisine qui, elle, conserve ces données.

Ce qu’il ne faut jamais conserver

Les données d’authentification sensibles, telles que le contenu intégral de la piste magnétique ou de la puce, le code de vérification de la carte et les codes PIN, ne doivent pas être conservées après l’autorisation, même chiffrées (exigence 3.3.1 de la PCI DSS, dans la norme PCI DSS v4.0.1). Les numéros de compte principaux (PAN) ne peuvent être stockés que s’il existe un besoin métier, pour une durée de conservation définie, et doivent être rendus illisibles lorsqu’ils sont stockés (exigences 3.2.1 et 3.5.1). Recherchez les numéros de carte dans des endroits où ils ne devraient pas se trouver : boîtes de réception, enregistrements d’appels, feuilles de calcul, tickets d’assistance et fichiers journaux.

Trois moyens de réduire votre périmètre

1. Confier le paiement à un prestataire validé

Pour le commerce en ligne, une page de paiement hébergée ou un formulaire de paiement hébergé par un prestataire garantit que les données de carte sont transmises directement à un prestataire de paiement conforme à la norme PCI DSS. Votre site web n’y a jamais accès. C’est la base du questionnaire d’auto-évaluation le plus court, le SAQ A. Notez que les conditions d’éligibilité ont changé en 2025 : les marchands doivent désormais confirmer que leur site n’est pas vulnérable aux attaques de scripts susceptibles d’affecter le processus de paiement (résumé Akamai). Consultez quel SAQ s’applique à votre cas.

2. Remplacer les numéros de carte par des jetons

La tokenisation remplace le PAN par une valeur de substitution inutilisable par un attaquant. Le PCI SSC précise qu’« une solution de tokenisation correctement mise en œuvre peut réduire, voire supprimer, la nécessité pour un marchand de conserver le PAN dans son environnement une fois la transaction initiale traitée » (lignes directrices du PCI SSC sur la tokenisation). La facturation récurrente, les remboursements et les profils clients peuvent généralement fonctionner avec des jetons fournis par votre prestataire de paiement.

3. Isoler ce qui subsiste

Si certains systèmes doivent encore traiter des données de carte, placez-les dans une zone restreinte, séparée du reste du réseau. Les directives de délimitation du périmètre du Conseil indiquent que « lorsqu’elle est correctement mise en œuvre, la segmentation du réseau est une méthode qui peut aider à réduire le nombre de composants système entrant dans le périmètre de la norme PCI DSS » (directives de délimitation du périmètre du PCI SSC). La segmentation doit ensuite être validée par des tests. Découvrez pourquoi la réduction du périmètre nécessite une preuve.

Pièges à éviter

• L’externalisation ne délègue pas la responsabilité. Vous restez responsable de confirmer la conformité de vos prestataires et des parties du flux que vous contrôlez encore.
• Votre site web compte toujours. Même avec une page de paiement hébergée, la page qui redirige vers le formulaire de paiement ou qui l’intègre peut être compromise.
• Commandes par téléphone et par courrier. Les numéros de carte notés sur papier ou saisis dans un champ de notes réintègrent des systèmes dans le périmètre.
• Anciennes données. Une migration vers des jetons ne supprime pas les numéros de carte déjà présents dans l’export de base de données de l’année dernière.
• Réseaux non segmentés. Sans segmentation, l’ensemble du réseau entre dans le périmètre.

Par où commencer

1. Cartographiez tous les moyens par lesquels un numéro de carte entre dans votre organisation : web, téléphone, terminal, e-mail, courrier.
2. Menez un exercice de découverte pour identifier des données de carte stockées dont vous ignoriez l’existence.
3. Pour chaque canal, demandez-vous si un prestataire pourrait prendre en charge les données de carte à votre place.
4. Supprimez ce dont vous n’avez pas besoin, et tokenisez ce que vous devez référencer ultérieurement.
5. Segmentez et testez ce qui subsiste.

Accel PCI aide les marchands à déterminer le périmètre valide le plus réduit et à compléter le bon SAQ en ligne. Ubitrak évalue les environnements plus vastes et valide la segmentation. Consultez notre aperçu de la norme PCI DSS ou contactez-nous.

Sources

• PCI SSC Information Supplement : Guidance for PCI DSS Scoping and Network Segmentation
• PCI SSC Information Supplement : PCI DSS Tokenization Guidelines
• Akamai : PCI DSS v4.0.1, the changes you need to know to qualify for SAQ A
• PCI SSC Document Library (PCI DSS v4.0.1 and SAQs)
• PCI SSC : Just Published: PCI DSS v4.0.1